SIC - Concepto-13182335

Bogotá D.C., 10

Asunto: Radicación: 13-182335- -00002-0000

Trámite: 113

Evento: 0

Actuación: 440

Folios: 5

Respetado(a) Señor (a): [Datos personales eliminados en virtud de la Ley 1581 de 2012] Con el alcance previsto en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, damos respuesta a su consulta radicada en esta Entidad con el número señalado en el asunto, en los siguientes términos.

1. Consulta El peticionario formula la siguiente consulta: "(...) ha recolectado datos personales de diversos titulares, en desarrollo de sus funciones tanto públicas como privadas (...) llamaron para confirmar datos para enviar documentos referentes a los nuevos servicios, quiero pedirles el favor de confirmar si esta actividad es cierta y licita (sic) (...)"

2. Materia objeto de la consulta La Superintendencia de Industria y Comercio, de acuerdo con el artículo 21 de la Ley 1581 de 2012 cuenta, entre otras, con las siguientes funciones en materia de protección de datos personales:  Velar por el cumplimiento de la legislación en materia de protección de datos personales;  Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data.  Disponer el bloqueo temporal de los datos cuando, de a solicitud y de as pruebas aportadas por el Titular, se identifique un riesgo cierto de vulneración de sus derechos fundamentales, y dicho bloqueo sea necesario para protegerlos mientras se adopta una decisión definitiva.  Promover y divulgar os derechos de las personas en relación con el

Tratamiento de datos personales e implementar campañas pedagógicas para capacitar e informar a los ciudadanos acerca del ejercicio y garantía del derecho fundamental a la protección de datos.  Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley.  Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones. Al respecto, en primer lugar, nos permitimos advertirle que en virtud del principio y garantía constitucional del debido proceso consagrado en el artículo 29 de la Constitución Política, no nos es posible resolver a través de conceptos situaciones particulares, ni pronunciarnos sobre la legalidad de una conducta. Sin embargo, dentro del ámbito de las referidas competencias, a continuación damos respuesta de manera general a su consulta. 2.1 Autorización previa y las excepciones a dicho requisito. El principio de libertad se encuentra consagrado en los siguientes términos en el literal c del artículo 4 de la Ley 1581 de 2012: "c) Principio de libertad: El Tratamiento sólo puede ejercerse con el consentimiento, previo, expreso e informado del Titular. Los datos personales no podrán ser obtenidos o divulgados sin previa autorización, o en ausencia de mandato legal o judicial que releve el consentimiento;" (1) De acuerdo con la citada norma, la autorización del titular de los datos personales para su Tratamiento se requerirá siempre que no se encuentre dentro de una de las excepciones consagradas en el artículo 10 de la Ley 1581 de 2012 o cuando no exista

una norma o decisión judicial que exima de la obtención de la autorización. En relación con la autorización el artículo 9 de la Ley 1581 de 2012 establece: "Autorización del Titular. Sin perjuicio de las excepciones previstas en la ley, en el Tratamiento se requiere la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior."(2) Sin embargo, el artículo 10 de la Ley 1581 de 2012 establece ciertos casos en los cuales está permitido realizar Tratamiento de datos personales sin contar con la autorización previa de su titular: "Casos en que no es necesaria la autorización. La autorización del Titular no será necesaria cuando se trate de: a) Información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales o por orden judicial; b) Datos de naturaleza pública; c) Casos de urgencia médica o sanitaria; d) Tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos; e) Datos relacionados con el Registro Civil de las Personas. Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley." (3) En este sentido, debe recordarse que aun cuando no sea necesario contar con la autorización previa para el Tratamiento, sí resulta aplicable la Ley 1581 de 2012 y, en general, las normas que regulan la protección de datos personales. Es así como, pese a que una entidad no esté legalmente obligada a obtener autorización, sí debe aplicar los demás principios y deberes previstos para la protección de datos personales. Dentro de los cuales se encuentran, entre otros,

adoptar las medidas que garanticen la seguridad, realizar el Tratamiento de acuerdo con las finalidades previstas, así como asegurar el acceso restringido y la confidencialidad de la información. 2.2 Formas de obtener la autorización y quién la puede otorgar. En relación con la autorización el Decreto 1377 de 2013 dispone: "Autorización. El responsable del Tratamiento deberá adoptar procedimientos para solicitar, a más tardar en el momento de la recolección de sus datos, la autorización del Titular para el Tratamiento de los mismos e informarle los datos personales que serán recolectados así como todas las finalidades específicas del Tratamiento para las cuales se obtiene el consentimiento. (...) En caso de haber cambios sustanciales en el contenido de las políticas de Tratamiento a que se refiere el Capítulo III de este Decreto, referidos a la identificación del Responsable y a la finalidad del Tratamiento de los datos personales, los cuales puedan afectar el contenido de la autorización, el Responsable del Tratamiento debe comunicar estos cambios al Titular antes de o a más tardar al momento de implementar las nuevas políticas. Además, deberá obtener del Titular una nueva autorización cuando el cambio se refiera a la finalidad del Tratamiento." (4) Dado que la ley no exige que la autorización dada por los titulares de los datos personales para su tratamiento adopte una forma determinada, podrá adoptar cualquier forma siempre que se garantice el cumplimiento de los requisitos analizados con antelación. En este sentido, el artículo 7 del Decreto 1377 de 2013 al reglamentar la Ley 1581 de 2013 prevé las distintas formas a través de las cuales se puede obtener la autorización de los titulares de los datos personales para su tratamiento:

"Modo de obtener la autorización. Para efectos de dar cumplimiento a lo dispuesto en el artículo 9 de la Ley 1581 de 2012, los Responsables del Tratamiento de datos personales establecerán mecanismos para obtener la autorización de los Titulares o de quien se encuentre legitimado de conformidad con lo establecido en el artículo 20 del presente decreto, que garanticen su consulta. Estos mecanismos podrán ser predeterminados a través de medios técnicos que faciliten al Titular su manifestación automatizada. Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del Titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a la conducta inequívoca." (5) De acuerdo con lo anterior, la autorización para el tratamiento de los datos personales puede ser obtenida a través de los siguientes modos:  Por escrito  De forma oral  Mediante conductas inequívocas de I titular, siempre y cuando no se rrate de datos personales sensibles. Específicamente en relación con su pregunta, el llamado a dar la autorización para el tratamiento de los datos personales es el titular de los mismos, sin embargo, en caso de que se trate de niños o adolescentes quien otorga la autorización será su representante legal de acuerdo con lo dispuesto en el artículo 12 del Decreto 1377 de 2013. Si requiere mayor información sobre el desarrollo de nuestras funciones y sobre las normas objeto de aplicación por parte de esta Entidad, puede consultar nuestra página en Internet, www.sic.gov.co. Atentamente,

WILLIAM ANTONIO BURGOS DURANGO

JEFE OFICINA ASESORA JURÍDICA

Elaboró: Mariana Naranjo

Revisó: William Burgos

Aprobó: William Burgos Notas de referencia: (1) Literal c artículo 4 Ley 1581 de 2012. (2) Corte Constitucional, Sentencia C-748 de 2011, Magistrado Ponente: Jorge Ignacio Pretelt Chajub. (3) Artículo 10 Ley 1581 de 2012. (4) Artículo 5 Decreto 1377 de 2013. (5) Artículo 7 Decreto 1377 de 2013.